See inside any JWT — header, payload and expiry

Plak het gecodeerde JWT (de lange eyJ…-tekenreeks) in het invoervak. De tool splitst het op de twee punten, decodeert de header en payload met Base64URL en toont voor beide de JSON plus het ruwe handtekeningsegment — allemaal zonder enige netwerkaanvraag.

Nee. De decoder parseert alleen het token; hij controleert de handtekening niet tegen een geheime of publieke sleutel, omdat verificatie het sleutelmateriaal van de uitgever vereist. Gebruik voor productieverificatie een server-side JWT-bibliotheek; deze tool is bedoeld voor inspectie en debugging.

Je krijgt de header (algoritme en sleutel-id), de payload-claims (sub, iss, aud, iat, exp en eventuele aangepaste claims) en de ruwe handtekening. Standaard tijdstempelclaims worden opgemaakt als leesbare datums, zodat je verlopen tokens in één oogopslag kunt herkennen.

Als de payload de standaard "exp"-claim bevat, vergelijkt de tool deze met de huidige tijd en toont hij ofwel "Geldig tot" of "Token verlopen op" met het exacte tijdstempel. Tokens zonder exp-claim worden gerapporteerd als zonder vervaldatum.

Iedereen die de payload van een JWT kan lezen, kan deze gebruiken totdat hij verloopt. Productietokens horen daarom thuis in privétools. Deze decoder draait volledig in je browser en verstuurt het token nooit, maar de veiligere vuistregel is om waar mogelijk kortlevende ontwikkeltokens te decoderen.

Een JWT bestaat uit drie met Base64URL gecodeerde segmenten, gescheiden door punten: header (ondertekeningsalgoritme), payload (de claims die de uitgever door de verifieerder vertrouwd wil zien) en signature (een MAC of digitale handtekening over header.payload). Decoderen vereist nooit een sleutel — alleen verifiëren wel.

Een compacte, URL-veilige token die bestaat uit drie Base64URL-segmenten — header, payload en handtekening — en ondertekende claims bevat zoals een gebruikers-ID en een vervaltijd. Hij wordt veel gebruikt voor stateless inlogsessies en het beveiligen van API-verzoeken. Plak er hierboven een om de header en payload te bekijken.

Onder de gedecodeerde header en payload plak je het ondertekeningsgeheim (voor HS256) of de publieke sleutel van de uitgever in PEM- of JWK-formaat (voor RS256, ES256 en dergelijke) in het vak Handtekening verifiëren, en klik je vervolgens op Verifiëren. De badge die verschijnt meldt of de handtekening geldig of ongeldig is, of een algoritme gebruikt dat de verifier aan de browserkant niet ondersteunt — allemaal lokaal berekend, zonder het token of de sleutel ergens naartoe te sturen.

Voor HMAC-algoritmen zoals HS256 plak je de ruwe gedeelde-geheimtekst. Voor asymmetrische algoritmen zoals RS256, RS384 of ES256 heb je de publieke sleutel van de uitgever nodig — nooit de privésleutel — aangeleverd als een PEM-blok of een JWK; het plakken van de verkeerde helft van een asymmetrisch sleutelpaar laat de verificatie mislukken, ook al is het token geldig.

Het paneel Handtekening verifiëren ondersteunt elk gangbaar JOSE-algoritme: HS256/384/512 (HMAC met een gedeeld geheim), RS256/384/512 (RSASSA-PKCS1-v1_5 met een openbare RSA-sleutel), PS256/384/512 (RSA-PSS met een openbare RSA-sleutel) en ES256/384/512 (ECDSA over de bijbehorende P-256/P-384/P-521-curve). Tokens die zijn ondertekend met "none" of een algoritme buiten deze lijst worden altijd gerapporteerd als niet-ondersteund in plaats van als geldig gemarkeerd, wat je ook beschermt tegen de klassieke alg=none-vervalsingstruc.

De meest voorkomende oorzaak is dat je extra witruimte of een afsluitend regeleinde in het geheimvak plakt — de verificator hasht precies de bytes die je invoert, dus een kopieer-plak-artefact verbreekt de overeenkomst. Controleer ook of je het huidige token verifieert: als de JWT opnieuw is uitgegeven nadat je hem kopieerde, of het geheim van de provider base64-gecodeerd is in plaats van een ruwe string, decodeer het dan eerst voordat je het plakt.

Klik op Voorbeeld-JWT proberen om een demo HS256-token met sub-, name-, iat- en exp-claims te laden, zodat je het decoderen en de vervalcontrole in actie ziet voordat je je eigen token plakt. Zodra er een token in het vak staat, verschijnt er een Wissen-knop ernaast waarmee je de invoer met één klik weer leeg maakt.

Elk van de panelen Header, Payload en Signature heeft rechtsboven een eigen Kopiëren-knop die alleen de JSON van dat gedeelte (of de ruwe handtekeningtekst) naar je klembord kopieert. Onder de panelen staat ook een primaire knop Payload kopiëren voor het meest voorkomende geval waarbij je alleen de claims pakt om in een debugger of bugrapport te plakken.

Kopieer de waarde na 'Bearer ' in de Authorization-header — het eyJ…-gedeelte is de JWT zelf — en plak deze in de decoder om direct de header, payload-claims en vervalstatus te zien. Als je de hele 'Bearer eyJ…'-tekst kopieert, verwijder dan eerst het 'Bearer '-voorvoegsel zodat de token uit precies drie door punten gescheiden delen bestaat.

Nee — dit is een decoder en viewer, geen JWT-editor. Het wijzigen van de payload zou de handtekening ongeldig maken, waardoor elke server die het token verifieert de gemanipuleerde versie zou afwijzen. Om claims te wijzigen, moet je een nieuw token uitgeven dat is ondertekend met de juiste secret of private key. Gebruik de decoder om tokens te lezen en te debuggen, niet om ze te wijzigen.